Uma empresa de saúde tem várias contas AWS em uma organização AWS Organizations. A empresa armazena dados confidenciais de pacientes no Amazon S3 e deve impedir que os usuários excluam qualquer bucket S3 em todas as contas. Qual é a maneira mais escalável de aplicar esse controle?

SCPs (Service Control Policies) são a maneira mais escalável de aplicar essa restrição. Elas permitem que você defina permissões máximas para todas as contas em uma AWS Organization, incluindo a negação explícita da ação s3:DeleteBucket. Isso garante que nenhum usuário ou função em qualquer conta membro possa excluir buckets S3, independentemente de suas permissões individuais. Limites de permissões do IAM são aplicados a entidades IAM individuais e não a todas as contas de forma centralizada. Políticas de bucket S3 se aplicam apenas a buckets específicos e não a todos os buckets em todas as contas. Políticas de tags são usadas para impor padrões de marcação e não para controlar permissões de exclusão de recursos.